Warnung Ressourcentyp

  • Artikel

Namespace: microsoft.graph.security

Diese Ressource entspricht dem neuesten Batch von Warnungen, die von der Microsoft Graph-Sicherheits-API generiert wurden. Diese Ressource stellt potenzielle Sicherheitsprobleme innerhalb des Mandanten eines Kunden dar, die Von Microsoft 365 Defender oder einem in Microsoft 365 Defender integrierten Sicherheitsanbieter identifiziert wurden.

Wenn ein Sicherheitsanbieter eine Bedrohung erkennt, wird eine Warnung im System erstellt. Microsoft 365 Defender ruft diese Warnungsdaten vom Sicherheitsanbieter ab und nutzt die Warnungsdaten, um in einer Warnungsressource wertvolle Hinweise zu verwandten Angriffen, betroffenen Ressourcen und zugehörigen Beweisen zurückzugeben. Es korreliert automatisch andere Warnungen mit den gleichen Angriffstechniken oder demselben Angreifer mit einem Incident , um einen breiteren Kontext eines Angriffs bereitzustellen. Das Zusammenfassen von Benachrichtigungen erleichtert es Analytikern, Bedrohungen kollektiv zu untersuchen und darauf zu reagieren.

Hinweis

Diese Ressource ist einer der beiden Arten von Warnungen, die die Version v1.0 der Microsoft Graph-Sicherheits-API bietet. Weitere Informationen finden Sie unter Warnungen.

Methoden

Methode Rückgabetyp Beschreibung
List microsoft.graph.security.alert-Sammlung Rufen Sie eine Liste der Warnungsressourcen ab, die erstellt wurden, um verdächtige Aktivitäten in einer Organisation nachzuverfolgen.
Get microsoft.graph.security.alert Ruft die Eigenschaften eines Warnungsobjekts in einer Organisation basierend auf der angegebenen Warnungs-ID-Eigenschaft ab.
Update microsoft.graph.security.alert Aktualisieren Sie die Eigenschaften eines Warnungsobjekts in einer Organisation basierend auf der angegebenen Warnungs-ID-Eigenschaft .
Kommentar erstellen AlertComment Erstellen Sie einen Kommentar für eine vorhandene Warnung basierend auf der angegebenen Warnungs-ID-Eigenschaft .

Eigenschaften

Eigenschaft Typ Beschreibung
actorDisplayName Zeichenfolge Der Angreifer oder die Aktivitätsgruppe, die dieser Warnung zugeordnet ist.
additionalData microsoft.graph.security.dictionary Eine Sammlung anderer Warnungseigenschaften, einschließlich benutzerdefinierter Eigenschaften. Alle in der Warnung definierten benutzerdefinierten Details und alle dynamischen Inhalte in den Warnungsdetails werden hier gespeichert.
alertPolicyId Zeichenfolge Die ID der Richtlinie, die die Warnung generiert hat, und wird aufgefüllt, wenn eine bestimmte Richtlinie vorhanden ist, die die Warnung generiert hat, unabhängig davon, ob sie von einem Kunden oder einer integrierten Richtlinie konfiguriert wurde.
alertWebUrl Zeichenfolge URL für die Warnungsseite des Microsoft 365 Defender-Portals.
assignedTo Zeichenfolge Besitzer der Warnung oder NULL, wenn kein Besitzer zugewiesen ist.
category String Die Angriffs-Kill-Chain-Kategorie, zu der die Warnung gehört. Ausgerichtet auf das MITRE ATT&CK-Framework.
classification microsoft.graph.security.alertClassification Gibt an, ob die Warnung eine echte Bedrohung darstellt. Mögliche Werte: unknown, falsePositive, truePositive, informationalExpectedActivity, unknownFutureValue.
Kommentare microsoft.graph.security.alertComment-Sammlung Array von Kommentaren, die vom Security Operations (SecOps)-Team während des Warnungsverwaltungsprozesses erstellt wurden.
createdDateTime DateTimeOffset Zeitpunkt, zu dem Microsoft 365 Defender die Warnung erstellt hat.
description Zeichenfolge Zeichenfolgenwert, der jede Warnung beschreibt.
detectionSource microsoft.graph.security.detectionSource Erkennungstechnologie oder Sensor, die die relevante Komponente oder Aktivität identifiziert hat. Mögliche Werte sind: unknown, microsoftDefenderForEndpoint, antivirus, smartScreen, customTi, microsoftDefenderForOffice365, automatedInvestigation, microsoftThreatExpertsmicrosoftDefenderThreatIntelligenceAnalyticsscheduledAlertsnrtAlertsmicrosoftSentinelmicrosoftDefenderForResourceManagermicrosoftDefenderForApiManagementmicrosoftDefenderForKeyVaultmicrosoftDefenderForNetworkmicrosoftDefenderForAppServicemicrosoftDefenderForContainersmicrosoftDefenderForDNSmicrosoftDefenderForDatabasesmicrosoftDefenderForStoragemicrosoftDefenderForServersmicrosoftDefenderForIoTmicrosoftDefenderForCloudunknownFutureValuecustomDetectionappGovernanceDetectionappGovernancePolicymicrosoftDefenderForIdentitymanualcloudAppSecuritymicrosoft365DefenderazureAdIdentityProtectionmicrosoftDataLossPrevention. builtInMl Sie müssen den Prefer: include-unknown-enum-members Anforderungsheader verwenden, um die folgenden Werte in dieser verteilbaren Enumeration abzurufen: microsoftDefenderForCloud, microsoftDefenderForIoT, microsoftDefenderForDNSmicrosoftDefenderForStoragemicrosoftDefenderForServersmicrosoftDefenderForDatabases, microsoftDefenderForContainers, . microsoftDefenderForNetworkmicrosoftDefenderForAppServicemicrosoftDefenderForKeyVaultmicrosoftDefenderForResourceManagermicrosoftDefenderForApiManagementmicrosoftSentinelnrtAlertsscheduledAlertsmicrosoftDefenderThreatIntelligenceAnalyticsbuiltInMl
detectorId Zeichenfolge Die ID des Detektors, der die Warnung ausgelöst hat.
Entschlossenheit microsoft.graph.security.alertDetermination Gibt das Ergebnis der Untersuchung an, ob die Warnung einen echten Angriff darstellt, und wenn ja, die Art des Angriffs. Mögliche Werte sind: unknown, apt, malware, securityPersonnel, securityTesting, unwantedSoftware, other, multiStagedAttack, compromisedAccount, phishing, maliciousUserActivity, notMalicious, notEnoughDataToValidate, confirmedUserActivity, lineOfBusinessApplication, unknownFutureValue.
Beweis microsoft.graph.security.alertEvidence-Sammlung Sammlung von Beweisen im Zusammenhang mit der Warnung.
firstActivityDateTime DateTimeOffset Die früheste Aktivität, die der Warnung zugeordnet ist.
id Zeichenfolge Eindeutiger Bezeichner zur Darstellung der Warnungsressource .
incidentId Zeichenfolge Eindeutiger Bezeichner, der den Incident darstellt, dem diese Warnungsressource zugeordnet ist.
incidentWebUrl Zeichenfolge URL für die Incidentseite im Microsoft 365 Defender-Portal.
lastActivityDateTime DateTimeOffset Die älteste Aktivität, die der Warnung zugeordnet ist.
lastUpdateDateTime DateTimeOffset Zeitpunkt, zu dem die Warnung zuletzt bei Microsoft 365 Defender aktualisiert wurde.
mitreTechniques Collection(Edm.String) Die Angriffstechniken, die auf das MITRE ATT&CK-Framework abgestimmt sind.
productName Zeichenfolge Der Name des Produkts, das diese Warnung veröffentlicht hat.
providerAlertId Zeichenfolge Die ID der Warnung, wie sie im Sicherheitsanbieterprodukt angezeigt wird, das die Warnung generiert hat.
recommendedActions Zeichenfolge Empfohlene Reaktions- und Wartungsaktionen für den Fall, dass diese Warnung generiert wurde.
resolvedDateTime DateTimeOffset Zeitpunkt, zu dem die Warnung aufgelöst wurde.
serviceSource microsoft.graph.security.serviceSource Der Dienst oder das Produkt, das bzw. das diese Warnung erstellt hat. Mögliche Werte sind: unknown, microsoftDefenderForEndpoint, microsoftDefenderForIdentity, microsoftDefenderForCloudApps, microsoftDefenderForOffice365, microsoft365Defender, azureAdIdentityProtection, microsoftAppGovernance, dataLossPrevention, unknownFutureValue, microsoftDefenderForCloud und microsoftSentinel. Sie müssen den Prefer: include-unknown-enum-members Anforderungsheader verwenden, um die folgenden Werte in dieser verteilbaren Enumeration abzurufen: microsoftDefenderForCloud, microsoftSentinel.
Schweregrad microsoft.graph.security.alertSeverity Gibt die möglichen Auswirkungen auf Ressourcen an. Je höher der Schweregrad, desto größer die Auswirkung. Elemente mit höherem Schweregrad erfordern in der Regel die unmittelbarste Aufmerksamkeit. Mögliche Werte sind: unknown, informational, low, medium, high und unknownFutureValue.
status microsoft.graph.security.alertStatus Der Status der Warnung. Mögliche Werte: new, inProgress, resolved, unknownFutureValue
tenantId Zeichenfolge Der Microsoft Entra-Mandant, in dem die Warnung erstellt wurde.
threatDisplayName Zeichenfolge Die dieser Warnung zugeordnete Bedrohung.
threatFamilyName Zeichenfolge Dieser Warnung zugeordnete Bedrohungsfamilie.
title String Kurze Identifizierung des Zeichenfolgenwerts, der die Warnung beschreibt.
systemTags String collection Die der Warnung zugeordneten Systemtags.

alertClassification-Werte

Member Beschreibung
unknown Die Warnung ist noch nicht klassifiziert.
falsePositive Die Warnung ist falsch positiv und hat keine schädliche Aktivität erkannt.
truePositive Die Warnung ist richtig positiv und hat eine schädliche Aktivität erkannt.
informationalExpectedActivity Die Warnung ist gutartig positiv und hat potenziell schädliche Aktivitäten von einem vertrauenswürdigen/internen Benutzer erkannt, z. B. Sicherheitstests.
unknownFutureValue Wert des Sentinelwerts für die vervolvbare Enumeration. Nicht verwenden.

alertDetermination-Werte

Member Beschreibung
unknown Es wurde noch kein Ermittlungswert festgelegt.
passend Eine wahr positive Warnung, die eine erweiterte persistente Bedrohung erkannt hat.
Schadsoftware Eine wahr positive Warnung, die Schadsoftware erkannt hat.
securityPersonnel Eine wahr positive Warnung, die gültige verdächtige Aktivitäten erkannt hat, die eine Person im Sicherheitsteam des Kunden ausgeführt hat.
SicherheitTesting Die Warnung hat gültige verdächtige Aktivitäten erkannt, die im Rahmen eines bekannten Sicherheitstests ausgeführt wurden.
unwantedSoftware Die Warnung hat unerwünschte Software erkannt.
andere Sonstige Bestimmung.
multiStagedAttack Eine wahr positive Warnung, die mehrere Kill-Chain-Angriffsphasen erkannt hat.
compromisedAccount Eine wahr positive Warnung, die festgestellt hat, dass die Anmeldeinformationen des beabsichtigten Benutzers kompromittiert oder gestohlen wurden.
Phishing Eine wahr positive Warnung, die eine Phishing-E-Mail erkannt hat.
maliciousUserActivity Eine wahr positive Warnung, die erkannt hat, dass der angemeldete Benutzer schädliche Aktivitäten ausführt.
notMalicious Eine falsche Warnung, keine verdächtige Aktivität.
notEnoughDataToValidate Eine falsche Warnung, ohne dass genügend Informationen vorhanden sind, um das Gegenteil zu beweisen.
confirmedActivity Die Warnung hat eine wahr verdächtige Aktivität abgefangen, die als OK angesehen wird, da es sich um eine bekannte Benutzeraktivität handelt.
lineOfBusinessApplication Die Warnung hat eine wahr verdächtige Aktivität abgefangen, die als ok angesehen wird, da es sich um eine bekannte und bestätigte interne Anwendung handelt.
unknownFutureValue Wert des Sentinelwerts für die vervolvbare Enumeration. Nicht verwenden.

alertSeverity-Werte

Member Beschreibung
unknown Unbekannter Schweregrad.
mitteilsam Warnungen, die möglicherweise nicht umsetzbar sind oder als schädlich für das Netzwerk gelten, aber das Sicherheitsbewusstsein der Organisation bei potenziellen Sicherheitsproblemen fördern können.
Niedrig Warnungen zu Bedrohungen im Zusammenhang mit weit verbreiteter Schadsoftware. Beispielsweise Hack-Tools, Nicht-Antischadsoftware-Hack-Tools wie das Ausführen von Explorationsbefehlen und das Löschen von Protokollen, die häufig nicht auf eine erweiterte Bedrohung hinweisen, die auf die Organisation abzielt. Es kann auch von einem isolierten Sicherheitstool stammen, das ein Benutzer in Ihrer Organisation testet.
medium Warnungen, die aus Erkennungen und Reaktionen nach einem Sicherheitsverletzungsverhalten generiert werden, die Teil einer Advanced Persistent Threat (APT) sein können. Dieser Schweregrad umfasst beobachtete Verhaltensweisen, die typisch für Angriffsphasen, anomale Registrierungsänderungen, die Ausführung verdächtiger Dateien usw. sind. Obwohl einige auf interne Sicherheitstests zurückzuführen sein können, sind sie gültige Erkennungen und erfordern eine Untersuchung, da sie Möglicherweise Teil eines erweiterten Angriffs sind.
Hoch Warnungen, die häufig im Zusammenhang mit advanced persistent threats (APT) angezeigt werden. Diese Warnungen weisen auf ein hohes Risiko aufgrund der Schwere der Schäden hin, die sie an Vermögenswerten anrichten können. Einige Beispiele sind: Aktivitäten zum Diebstahl von Anmeldeinformationen, Ransomware-Aktivitäten, die keiner Gruppe zugeordnet sind, Manipulation von Sicherheitssensoren oder böswillige Aktivitäten, die auf einen menschlichen Angreifer hindeuten.
unknownFutureValue Wert des Sentinelwerts für die vervolvbare Enumeration. Nicht verwenden.

alertStatus-Werte

Member Beschreibung
unknown Unbekannter Status.
Neu Neue Warnung.
inProgress Die Warnung wird in Der Entschärfung ausgeführt.
resolved Die Warnung befindet sich im aufgelösten Zustand.
unknownFutureValue Wert des Sentinelwerts für die vervolvbare Enumeration. Nicht verwenden.

serviceSource-Werte

Wert Beschreibung
unknown Unbekannte Dienstquelle.
microsoftDefenderForEndpoint Microsoft Defender für Endpunkt.
microsoftDefenderForIdentity Microsoft Defender for Identity.
microsoftDefenderForCloudApps Microsoft Defender for Cloud Apps.
microsoftDefenderForOffice365 Microsoft Defender für Office365.
microsoft365Defender Microsoft 365 Defender.
azureAdIdentityProtection Microsoft Entra ID Protection.
microsoftAppGovernance Microsoft-App-Governance.
dataLossPrevention Microsoft Purview Data Loss Prevention( Verhinderung von Datenverlust).
unknownFutureValue Wert des Sentinelwerts für die vervolvbare Enumeration. Nicht verwenden.
microsoftDefenderForCloud Microsoft Defender for Cloud.
microsoftSentinel Microsoft Sentinel.

detectionSource-Werte

Wert Beschreibung
unknown Unbekannte Erkennungsquelle.
microsoftDefenderForEndpoint Microsoft Defender für Endpunkt.
Antivirenprogramm Antivirensoftware.
smartScreen Microsoft Defender SmartScreen.
customTi Benutzerdefinierte Threat Intelligence.
microsoftDefenderForOffice365 Microsoft Defender für Office 365.
automatedInvestigation Automatisierte Untersuchung.
microsoftThreatExperts Microsoft-Bedrohungsexperten.
customDetection Benutzerdefinierte Erkennung.
microsoftDefenderForIdentity Microsoft Defender for Identity.
cloudAppSecurity Cloud-App-Sicherheit.
microsoft365Defender Microsoft 365 Defender.
azureAdIdentityProtection Microsoft Entra ID Protection.
Manuell Manuelle Erkennung.
microsoftDataLossPrevention Microsoft Purview Data Loss Prevention( Verhinderung von Datenverlust).
appGovernancePolicy App-Governance-Richtlinie.
appGovernanceDetection App-Governance-Erkennung.
unknownFutureValue Wert des Sentinelwerts für die vervolvbare Enumeration. Nicht verwenden.
microsoftDefenderForCloud Microsoft Defender for Cloud.
microsoftDefenderForIoT Microsoft Defender für IoT.
microsoftDefenderForServers Microsoft Defender für Server.
microsoftDefenderForStorage Microsoft Defender für Storage.
microsoftDefenderForDNS Microsoft Defender für DNS.
microsoftDefenderForDatabases Microsoft Defender für Datenbanken.
microsoftDefenderForContainers Microsoft Defender für Container.
microsoftDefenderForNetwork Microsoft Defender für Netzwerk.
microsoftDefenderForAppService Microsoft Defender für App Service.
microsoftDefenderForKeyVault Microsoft Defender für Key Vault.
microsoftDefenderForResourceManager Microsoft Defender für Resource Manager.
microsoftDefenderForApiManagement Microsoft Defender für Api Management.
microsoftSentinel Microsoft Sentinel.
nrtAlerts Sentinel NRT-Warnungen.
scheduledAlerts Geplante Sentinel-Warnungen.
microsoftDefenderThreatIntelligenceAnalytics Sentinel Threat Intelligence-Warnungen.
builtInMl Integriertes Ml von Sentinel.

Beziehungen

Keine.

JSON-Darstellung

Die folgende JSON-Darstellung zeigt den Ressourcentyp.

{
  "@odata.type": "#microsoft.graph.security.alert",
  "id": "String (identifier)",
  "providerAlertId": "String",
  "incidentId": "String",
  "status": "String",
  "severity": "String",
  "classification": "String",
  "determination": "String",
  "serviceSource": "String",
  "detectionSource": "String",
  "productName": "String",
  "detectorId": "String",
  "tenantId": "String",
  "title": "String",
  "description": "String",
  "recommendedActions": "String",
  "category": "String",
  "assignedTo": "String",
  "alertWebUrl": "String",
  "incidentWebUrl": "String",
  "actorDisplayName": "String",
  "threatDisplayName": "String",
  "threatFamilyName": "String",
  "mitreTechniques": [
    "String"
  ],
  "createdDateTime": "String (timestamp)",
  "lastUpdateDateTime": "String (timestamp)",
  "resolvedDateTime": "String (timestamp)",
  "firstActivityDateTime": "String (timestamp)",
  "lastActivityDateTime": "String (timestamp)",
  "comments": [
    {
      "@odata.type": "microsoft.graph.security.alertComment"
    }
  ],
  "evidence": [
    {
      "@odata.type": "microsoft.graph.security.alertEvidence"
    }
  ],
  "systemTags" : [
    "String",
    "String"
  ],
  "additionalData": {
    "@odata.type": "microsoft.graph.security.dictionary"
  }
}